检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
修改协商策略后，页面显示资源不存在，如何处理？ 此问题为页面刷新周期问题。 在修改连接高级策略时，系统会先删除，再重建VPN连接，如果在页面创建过程中出现短暂的删除中或创建中属于正常现象，切勿重复创建同一连接（本端子网、远端子网、远端网关相同的连接）； 如果页面长时间停留在删除或创建中，请提交工单解决。
IKEv2算法的对应关系: 华为云console VPN连接的ike策略(阶段1)的配置有 认证算法、加密算法、DH算法等选项。 当选择IKEv1版本时； 对端设备的算法配置的Authentication Algorithm/Encryption Algorithm/DH Algorithm
ment_type为er时返回。 vpc_id String VPN网关关联的业务VPC的ID。仅当attachment_type为vpc时返回。 local_subnets Array of String IPv4本端子网。本端子网是云上子网，该网段需要通过VPN与用户侧网络进行互通。单个网段格式示例：192
如何配置和修改云上VPN的感兴趣流？ 感兴趣流由本端子网与远端子网full-mesh生成，例如本端子网有2个，分别为A与B，远端子网有3个，分别为C、D和E，生成感兴趣流时ACL的rule如下： rule 1 permit ip source A destination C rule 2 permit ip source
如何配置和修改云上VPN的感兴趣流？ 感兴趣流由本端子网与远端子网full-mesh生成，例如本端子网有2个，分别为A与B，远端子网有3个，分别为C、D和E，生成感兴趣流时ACL的rule如下： rule 1 permit ip source A destination C rule 2 permit ip source
本端网关（华为云侧） 华为云侧网络接口互联的IP地址。 1.1.1.1/30 远端网关（用户侧） 用户数据中心侧网络接口互联的IP地址。 远端网关与本端网关需要设置为同一网段的IP地址，一般使用30位掩码。 2.2.2.2/30 远端子网 用户数据中心接入子网和子网掩码。 172.16.0.0/16
ng命令，VPN网关EIP缺省可以ping通。 云下网关与VPN网关可以互访UDP 500、4500报文。 云下公网IP访问VPN网关IP时，没有发生源端口NAT转换，如果存在NAT穿越，端口号在nat穿越后不得发生改变。 两端的IKE协商参数配置一致。 NAT穿越场景中，云下I
检查两端公网IP是否可以互访，推荐使用ping命令，云端网关IP缺省可以ping通。 云下网关与云网关可以互访UDP 500、4500报文。 云下公网IP访问网关IP时，没有发生源端口NAT转换，如果存在nat穿越，端口号在nat穿越后不得发生改变。 两端的ike协商参数配置一致，nat穿越场景中云下ID标
"vpn:vpnGateways:delete" ] } ] } 示例2：拒绝用户删除VPN连接 拒绝策略需要同时配合其他策略使用，否则没有实际作用。用户被授予的策略中，一个授权项的作用如果同时存在Allow和Deny，则遵循Deny优先原则。 如果您给用户授予VPN
服务韧性 VPN提供双AZ容灾能力，即用户创建VPN网关时，支持在当前region下的两个AZ创建VPN网关，并从每个AZ创建一条到对端网关的VPN连接。 该特性仅企业版VPN支持，经典版VPN不支持。 图1 正常场景 当其中一个AZ下的VPN网关或VPN连接发生故障，系统会自动
construct local ID fail 构造本端ID失败。 rekey no find old sa 重协商时找不到旧的SA。 rekey fail 重协商时旧的SA正在下线。 first packet limited 首包限速。 unsupported version 不支持的IKE版本号。
第一条VPN连接配置、图 第二条VPN连接配置所示。 采用IKEv1进行IPSec协商时，如果隧道有一端的流量超时配置为0，则隧道两端都关闭流量超时功能。 采用IKEv2进行IPSec协商时，隧道流量超时值配置为0，则关闭本端流量超时功能。 图3 第一条VPN连接配置 图4 第二条VPN连接配置
面可能存在差异，配置时请以对应设备型号、系统版本的产品文档为准。 配置VPN连接。 选择“高级 > VPN > IPSec > IPSec策略管理”。 配置IKE策略、IPSec策略，关键参数配置如图 VPN连接配置所示。 采用IKEv1进行IPSec协商时，如果隧道有一端的流量
construct local ID fail 构造本端ID失败。 rekey no find old sa 重协商时找不到旧的SA。 rekey fail 重协商时旧的SA正在下线。 first packet limited 首包限速。 unsupported version 不支持的IKE版本号。
相关参数说明如下： 192.168.0.0/192.168.1.0：VPC本端子网。 每个子网需要分别独立配置路由track nqa。 同一条命令中，Tunnelx和IPsec_nqax需要同属于一条VPN连接。 preference 100：路由优先级，不配置默认为60。 本示例
常见配置问题及解决方案 PSK不一致：单独更新预共享密钥会在下一次IKE协商时生效，最长等待一个IKE的生命周期，须确认两端更新密钥一致。 协商策略不一致：请仔细排查IKE中的认证算法、加密算法、版本、DH组、协商模式和IPsec中的认证算法、加密算法、封装格式、PFS算法，特别
收取网关带宽费用和连接的费用，用户后续创建VPN连接时不再收取费用。 按需方式为先使用后付费模式，计费周期为1小时。如果您选择按需模式创建VPN，页面会提示同时创建连接。费用包含了网关带宽费用和单条连接费用，您在创建第二条连接时只产生连接的费用。 VPN网关IP不收费，只收取VPN网关的带宽费用。
收取网关带宽费用和连接的费用，用户后续创建VPN连接时不再收取费用。 按需方式为先使用后付费模式，计费周期为1小时。如果您选择按需模式创建VPN，页面会提示同时创建连接。费用包含了网关带宽费用和单条连接费用，您在创建第二条连接时只产生连接的费用。 VPN网关IP不收费，只收取VPN网关的带宽费用。
收取网关带宽费用和连接的费用，用户后续创建VPN连接时不再收取费用。 按需方式为先使用后付费模式，计费周期为1小时。如果您选择按需模式创建VPN，页面会提示同时创建连接。费用包含了网关带宽费用和单条连接费用，您在创建第二条连接时只产生连接的费用。 VPN网关IP不收费，只收取VPN网关的带宽费用。
企业版-VPN网关”。 单击“终端入云VPN网关”进入“终端入云VPN网关”页面。 单击VPN网关的名称，查看VPN网关详情。 客户端认证类型为证书认证时，可以查看如下详情。 基本信息：可查看VPN网关基本信息和弹性公网IP基本信息。 服务端：可查看服务端基本信息、认证信息、高级配置。 连接：
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
